2023學(xué)年完整公開課版Hadoop相關(guān)的Kerberos設(shè)置

侯磊Hadoop相關(guān)的Kerberos設(shè)置目錄0102創(chuàng)建Kerberos數(shù)據(jù)庫啟動(dòng)Kerberos創(chuàng)建Kerberos數(shù)據(jù)庫1創(chuàng)建Kerberos數(shù)據(jù)庫配置好了Kerberos還不算完成！還需要完成以下配置步驟，以便與Hadoop集群連接。1.創(chuàng)建Kerberos數(shù)據(jù)庫和第一個(gè)用戶主體(root)。2.啟動(dòng)Kerberos服務(wù)。3.創(chuàng)建服務(wù)主體(SPN)。4.創(chuàng)建keytab文件。創(chuàng)建Kerberos數(shù)據(jù)庫如前所述，Kerberos由三個(gè)組件組成:數(shù)據(jù)庫、AS和TGS。在默認(rèn)情況下必須創(chuàng)建一個(gè)數(shù)據(jù)庫。可以使用文件或LDAP目錄作為數(shù)據(jù)庫。創(chuàng)建Kerberos數(shù)據(jù)庫的方法如下:$kdb5_utilcreate-rEXAMPLE.COM–s-s選項(xiàng)指定將數(shù)據(jù)庫的主節(jié)點(diǎn)密鑰存儲(chǔ)在文件中，從而可以在每次啟動(dòng)KDC時(shí)自動(dòng)重新生成主節(jié)點(diǎn)密鑰。創(chuàng)建Kerberos數(shù)據(jù)庫kdb5_utilcreate命令在/usr/local/var/krb5kdc目錄下創(chuàng)建以下5個(gè)文件：兩個(gè)Kerberos數(shù)據(jù)庫文件principal和principal.okKerberos數(shù)據(jù)庫管理文件principal.kadm5數(shù)據(jù)庫鎖管理文件principal.kadm5.lock存儲(chǔ)文件k5.EXAMPLE.COM存儲(chǔ)文件是存儲(chǔ)在KDC本地磁盤上的加密主密鑰的副本。KDC在啟動(dòng)Hadoop守護(hù)程序時(shí)，使用此存儲(chǔ)文件自動(dòng)進(jìn)行身份驗(yàn)證。啟動(dòng)Kerberos2啟動(dòng)Kerberos為KDC創(chuàng)建管理員主體在啟動(dòng)Kerberos服務(wù)之前，還必須在KDC服務(wù)器上創(chuàng)建第一個(gè)用戶主體。該用戶主體是Linux服務(wù)器上的root用戶。$sudokadmin.local–q完成了Kerberos配置后，就可以啟動(dòng)Kerberos守護(hù)程序了。使用kadmind和krb5kdc實(shí)用程序啟動(dòng)Kerberos服務(wù)，如下所示：#/sbin/servicekadmindstart#/sbin/servicekrb5kdcstart啟動(dòng)Kerberos使用kadmind命令能夠從遠(yuǎn)程服務(wù)器進(jìn)行連接，從而使用kadmin客戶端執(zhí)行Kerberos管理。krb5kdc命令用來啟動(dòng)KDC服務(wù)器。必須為每個(gè)Hadoop服務(wù)創(chuàng)建一個(gè)服務(wù)主體，如HDFS和YARN,使Hadoop守護(hù)進(jìn)程能夠通過Kerberos認(rèn)證hdfs(用于HDFS服務(wù))、mapred(用于MapReduce)和yarn(用于YARN)。啟動(dòng)Kerberos需要為集群中的每個(gè)服務(wù)1守護(hù)程序?qū)?chuàng)建一個(gè)SPN。還必須為組件服務(wù)(如Hive、Oozie等)創(chuàng)建服務(wù)主體。為簡單起見，此處只介紹hdfs、yarn和mapred服務(wù)主體的創(chuàng)建，但可以使用相同的方法創(chuàng)建其他主體。除了HDFS和YARN之外，還創(chuàng)建了HTTP的服務(wù)主體，這是使用Kerberos所需的Web通信協(xié)議。所有這三個(gè)服務(wù)主體:hdfs、yarn和mapred都使用HTTP服務(wù)。通過為這些主體提供HTTP服務(wù)名稱，可以為我們?nèi)粘９ぷ髦惺褂玫腤eb界面啟用Kerberos身份驗(yàn)證。啟動(dòng)Kerberos每個(gè)服務(wù)主體都需要一個(gè)keytab文件來存儲(chǔ)其密碼。keytab文件包含Kerberos主體和根據(jù)其Kerberos密碼派生的加密密鑰對。當(dāng)服務(wù)正常運(yùn)行時(shí)，其用于KDC身份驗(yàn)證。UPN需要使用kinit登錄到安全集群，然后提供驗(yàn)證密碼。但是，SPN無法進(jìn)行交互式登錄嘗試。keytab文件存儲(chǔ)可用于特定SPN的加密密鑰，可以將多個(gè)SPN密鑰，存儲(chǔ)在同一個(gè)keytab文件中。實(shí)際上，普通用戶(UPN)也可以使用keytab文件代替在登錄時(shí)提供的密